SPF, DKIM y DMARC: qué protege cada registro y cómo comprobarlo

SPF, DKIM y DMARC no son tres versiones de la misma protección. Cada mecanismo responde a una pregunta diferente y solo ofrecen una defensa completa cuando se configuran de forma coherente.

SPF: qué servidores pueden enviar

SPF publica en DNS qué infraestructuras están autorizadas para enviar correo en nombre de un dominio. El receptor compara la IP que entrega el mensaje con la política publicada.

Un error frecuente es acumular servicios antiguos o superar el límite de búsquedas DNS. Otro es publicar más de un registro SPF, lo que produce una política inválida. Debe existir una única entrada TXT que reúna todos los emisores legítimos.

SPF valida el dominio técnico usado durante la entrega, no necesariamente el que el usuario ve en el campo From. Por eso no basta por sí solo para evitar suplantaciones visibles.

DKIM: integridad y firma criptográfica

DKIM añade una firma al mensaje. El servidor receptor obtiene la clave pública desde DNS y comprueba que determinadas cabeceras y el cuerpo no fueron modificados después de firmar.

La clave privada debe permanecer protegida en el servidor de correo. El selector permite rotar claves sin interrumpir el servicio. Conviene usar longitudes modernas, documentar la rotación y retirar selectores antiguos cuando ya no reciban tráfico legítimo.

DMARC: alineación y política

DMARC comprueba que SPF o DKIM estén alineados con el dominio visible del remitente. Además, permite indicar qué hacer cuando un mensaje falla y dónde enviar informes.

La implantación prudente comienza con una política de observación. Primero se recopilan informes, se identifican todos los emisores legítimos y se corrigen desalineaciones. Después se aumenta la política progresivamente.

Un ejemplo inicial puede utilizar p=none; una política madura puede avanzar a cuarentena o rechazo. No conviene aplicar rechazo el primer día sin saber qué servicios envían facturas, formularios, notificaciones o campañas.

Cómo se complementan

• SPF autoriza infraestructura de envío.
• DKIM demuestra integridad y asociación criptográfica.
• DMARC exige alineación con el dominio visible y define una política.

Un mensaje puede superar SPF y fallar DKIM, o al contrario. DMARC puede aprobar si al menos uno de los mecanismos supera la comprobación y está correctamente alineado.

Comprobaciones básicas

Consulta los TXT publicados:

dig TXT ejemplo.com
dig TXT _dmarc.ejemplo.com
dig TXT selector._domainkey.ejemplo.com

Después envía mensajes de prueba a proveedores distintos y revisa las cabeceras completas. Busca los resultados de spf, dkim y dmarc, además del dominio que aparece alineado.

Errores habituales

• Publicar dos registros SPF.
• Olvidar un servicio de envío legítimo.
• Mantener selectores DKIM antiguos indefinidamente.
• Firmar con un dominio distinto sin alineación.
• Aplicar p=reject antes de analizar informes.
• No proteger la cuenta que recibe los informes DMARC.
• Interpretar que superar estas pruebas garantiza que un mensaje no llegará a spam.

La reputación, el contenido, el volumen, los rebotes y el historial de la IP también influyen en la entrega.

Operación y mantenimiento

Revisa la configuración cuando cambies de proveedor, añadas una plataforma de marketing o migres formularios. El correo suele romperse meses después de una implantación correcta porque se incorpora un nuevo emisor y nadie actualiza DNS.

Conclusión

SPF, DKIM y DMARC funcionan como un sistema. La implantación correcta requiere inventario, observación, pruebas y mantenimiento. Una política estricta sin inventario puede bloquear correo legítimo; una política permisiva sin seguimiento apenas reduce la suplantación.

Este contenido es informativo y está orientado a administración defensiva, auditorías autorizadas y mejora de la seguridad. Adapta cualquier cambio a tu entorno y conserva una copia de seguridad antes de aplicarlo.